远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2014:1087 公告中提及的多个漏洞的影响。

    Red Hat JBoss Web Server 是一组用于托管 Java Web 应用程序的完全集成且经过认证的组件。它由 Apache HTTP Server、Apache Tomcat Servlet 容器、Apache Tomcat Connector (mod_jk)、JBoss HTTP Connector (mod_cluster)、Hibernate 和 Tomcat Native 库组成。

    此版本替换了 Red Hat JBoss Web Server 2.0.1 并包含数个缺陷补丁。有关这些更改的最重要的信息，请参阅在“参考”部分链接的 Red Hat JBoss Web Server 2.1.0 发行说明。

    此版本还修复了以下安全问题：

    在 mod_status httpd 模块中发现导致基于堆的缓冲区溢出的争用条件缺陷。能够使用线程化多重处理模块 (MPM) 访问服务器上由 mod_status 提供服务的状态页面的远程攻击者可以发送特别构建的请求，以导致 httpd 子进程崩溃，或者可能允许攻击者以 apache 用户的权限执行任意代码。(CVE-2014-0226)

    在 httpd 的 mod_deflate 模块处理请求正文解压缩（通过 DEFLATE 输入过滤器配置）的方式中发现拒绝服务缺陷。能够发送其正文需要解压缩的请求的远程攻击者可以利用此缺陷消耗目标系统上的大量系统内存和 CPU。(CVE-2014-0118)

    已发现 httpd 的 mod_cgid 模块执行未从标准输入读取数据的 CGI 脚本的方式中存在拒绝服务缺陷。
    远程攻击者可提交特别构建的请求，以导致 httpd 子进程无限期挂起。(CVE-2014-0231)

    发现多个应用程序提供的 XML 文件（例如 web.xml、content.xml、*.tld、*.tagx 和 *.jspx）解析外部实体，这可能引发 XML 外部实体 (XXE) 攻击。如果攻击者能够向 Tomcat 部署恶意应用程序，则可利用此缺陷避开 JSM 设置的安全限制，并且获取访问系统中敏感信息的权限。请注意此缺陷仅影响 Tomcat 运行来自不受信任来源的应用程序的部署例如在共享托管环境中。 (CVE-2013-4590)

    发现在某些情况下，恶意 Web 应用程序可能替换 Tomcat 用来为默认 servlet、JSP 文档、标签库描述符 (TLD) 和标签插件配置文件处理 XSLT 的 XML 解析器。然后被注入的 XML 解析器可以绕过对 XML 外部实体施加的限制和/或获取对为同一个 Tomcat 实例上部署的其他 Web 应用程序而处理的 XML 文件的访问权限。 (CVE-2014-0119)

    建议 Red Hat Enterprise Linux 6 上的所有 Red Hat JBoss Web Server 2.0.1 用户升级到 Red Hat JBoss Web Server 2.1.0。必须重新启动 JBoss 服务器进程以使此更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6Red Hat JBoss Web Server 2.1.0 更新重要 (RHSA-2014:1087)

medium Nessus 插件 ID 77356

未找到变更日志